Rozširovanie cloud computingu pomáha firmám rozširovať svoje podnikanie. Avšak, zavádzanie nových platforiem znamená aj vznik nových hrozieb. Podpora v rámci organizácie vlastného tímu zodpovedného za monitorovanie bezpečnosti cloudových služieb je náročnou úlohou. Existujúce monitorovacie nástroje sú drahé a pomalé. Nie je jednoduché nimi efektívne spravovať, ak treba zabezpečiť bezpečnosť rozsiahlej cloudovej infraštruktúry. Firmy potrebujú na udržanie vysokej úrovne cloudovej bezpečnosti výkonné, flexibilné a prehľadné nástroje, ktorých možnosti presahujú to, čo bolo k dispozícii skôr. Tu prichádzajú na scénu open-source technológie, ktoré pomáhajú šetriť rozpočty na bezpečnosť a vyvíjajú ich odborníci, ktorí v tejto oblasti vedia, o čom hovoria.
V článku, ktorého preklad dnes zverejňujeme, je predstavený prehľad 7 open-source nástrojov na monitorovanie bezpečnosti cloudových systémov. Tieto nástroje sú určené na ochranu pred hackermi a kyberzločincami detekciou anomálií a nebezpečných akcií.
1. Osquery
je systém na nízkoúrovňové monitorovanie a analýzu operačných systémov, ktorý umožňuje odborníkom v oblasti bezpečnosti vykonávať komplexné analýzy údajov pomocou SQL. Rámec Osquery môže pracovať na Linuxe, macOS, Windows a FreeBSD. Predstavuje operačný systém (OS) vo forme vysoko výkonej relačnej databázy. To umožňuje odborníkom na bezpečnosť skúmať OS pomocou vykonávania SQL dotazov. Napríklad, pomocou dotazu je možné získať informácie o bežiacich procesoch, načítaných moduloch jadra, otvorených sieťových pripojeniach, nainštalovaných rozšíreniach prehliadača, hardvérových udalostiach, a hash hodnotách súborov.
Rámec Osquery bol vytvorený spoločnosťou Facebook. Jeho kód bol otvorený v roku 2014, po tom, čo spoločnosť pochopila, že nástroje na sledovanie nízkoúrovňových mechanizmov operačných systémov potrebujú nielen ona sama. Odvtedy používajú Osquery odborníci z takých spoločností ako Dactiv, Google, Kolide, Trail of Bits, Uptycs a mnohých ďalších. Nedávno bolo oznámené, že Linux Foundation a Facebook plánujú vytvoriť fond na podporu Osquery.
Demon monitorovania hostiteľov Osquery, nazývaný osqueryd, umožňuje plánovať vykonávanie dotazov zameraných na zber údajov z celej infraštruktúry organizácie. Demon zhromažďuje výsledky dotazov a vytvára záznamy, ktoré odrážajú zmeny stavu infraštruktúry. To môže pomôcť odborníkom na zabezpečenie byť v obraze o stave vecí v systéme a je obzvlášť užitočné pri identifikovaní anomálií. Možnosti Osquery na agregáciu záznamov môžu byť použité na uľahčenie vyhľadávania známych a neznámych malvérov, ako aj na identifikáciu miest prenikania útočníkov do systému a na hľadanie softvéru, ktorý nainštalovali. materiál, v ktorom nájdete podrobnosti o objavovaní anomálií pomocou Osquery.
2. GoAudit
Systém sa skladá z dvoch hlavných komponentov. Prvý je akýsi kód na úrovni jadra, určený na zachytávanie a monitorovanie systémových volaní. Druhý komponent je demon pracujúci v používateľskom priestore, nazývaný . Zodpovedá za zápis výsledkov auditu na disk. , systém vyvinutý spoločnosťou a vydaný v roku 2016, je určený na nahradenie auditd. Má vylepšené možnosti logovania, pretože konvertuje viacriadkové správy o udalostiach generované systémom auditu Linux do jediné BLOB-objekty JSON, ktoré zjednodušujú analýzu. Vďaka GoAudit je možné priamo pristupovať k mechanizmom na úrovni jadra cez sieť. Okrem toho je možné zapnúť minimálnu filtráciu udalostí na samotnom hostiteľovi (alebo úplne vypnúť filtrovanie). GoAudit však nie je projekt navrhnutý len na zabezpečenie. Tento nástroj je zamýšľaný ako multifunkčný prostriedok pre odborníkov zaoberajúcich sa podporou systémov alebo vývojom. Pomáha riešiť problémy v rozsiahlych infraštruktúrach.
Systém GoAudit je napísaný v Golangu. Ide o typovo bezpečný a vysoko výkonný jazyk. Pred inštaláciou GoAudit skontrolujte, či vaša aktuálna verzia Golang je vyššia ako 1.7.
3. Grapl
Projekt (Graph Analytics Platform) bol prevedený na open-source v marci minulého roka. Je to relatívne nová platforma na identifikovanie bezpečnostných problémov, vykonávanie počítačskej kriminalistickej expertízy a na zostavovanie správ o incidentoch. Útočníci často pracujú tak, že používajú niečo ako model grafu, získavajúc kontrolu nad určitým systémom a skúmajúc ďalšie sieťové systémy, počínajúc týmto systémom. Preto je celkom prirodzené, že aj obrancovia systémov budú používať mechanizmus založený na modeli grafu, ktorý zohľadňuje charakteristiky vzťahov medzi systémami. Grapl demonštruje pokus o aplikáciu opatrení na identifikáciu incidentov a na reakciu na ne, založených na modeli grafu, a nie na modeloch logov.
Nástroj Grapl prijíma logy týkajúce sa bezpečnosti (Sysmon logy alebo logy v bežnom formáte JSON) a konvertuje ich na podgrafy (určujúc "identifikačné informácie" pre každý uzol). Potom spája podgrafy do hlavného grafu (Master Graph), ktorý predstavuje akcie vykonané v analyzovaných prostrediach. Následne Grapl spúšťa na získanom grafe analyzátory (Analyzers) pomocou "útočníckych podpisov" na detekciu anomálií a podozrivých vzorcov. Keď analyzátor identifikuje podozrivý podgraf, Grapl generuje konštrukt Engagement, určený na vykonávanie vyšetrovaní. Engagement je Python trieda, ktorú je možné načítať napríklad v Jupyter Notebooku, nasadenom v prostredí AWS. Grapl navyše dokáže rozširovať zber informácií na účely vyšetrovania incidentu prostredníctvom rozšírenia grafu.
Ak sa chcete lepšie oboznámiť s Grapl — môžete si pozrieť zaujímavé video — záznam vystúpenia z BSides Las Vegas 2019.
4. OSSEC
— je to projekt, založený v roku 2004. Tento projekt je vo všeobecnosti charakterizovaný ako open-source platforma na monitorovanie bezpečnosti, zameraná na analýzu hostiteľov a na detekciu vniknutia. Každoročne si OSSEC stiahne viac ako 500 000 krát. Túto platformu používajú hlavne ako nástroj na detekciu vniknutia na servery. Týmto sa myslí ako na lokálne, tak aj na cloudové systémy. OSSEC sa často používa aj ako nástroj na vyhodnocovanie monitorovacích protokolov a analýzu firewallov, systémov detekcie vniknutia, webových serverov a na skúmanie autentifikačných protokolov.
OSSEC kombinuje schopnosti hostiteľského systému detekcie vniknutia (HIDS, Host-Based Intrusion Detection System) s systémom správy incidentov v oblasti bezpečnosti (SIM, Security Incident Management) a s systémom správy informácií o bezpečnosti a bezpečnostných udalostiach (SIEM, Security Information and Event Management). OSSEC tiež dokáže vykonávať monitorovanie integrácie súborov v reálnom čase. To zahŕňa monitorovanie registru Windows a detekciu rootkitov. OSSEC môže informovať zainteresované strany o zistených problémoch v reálnom čase a pomáha rýchlo reagovať na nájdené hrozby. Táto platforma podporuje Microsoft Windows a väčšinu moderných Unix-podobných systémov, vrátane Linuxu, FreeBSD, OpenBSD a Solaris.
Platforma OSSEC sa skladá z centrálnej riadiacej entity, manažéra, ktorý sa používa na prijímanie a monitorovanie informácií od agentov (malých programov nainštalovaných v systémoch, ktoré je potrebné monitorovať). Manažér je nainštalovaný na Linuxovom systéme, ktorý uchováva databázu, používanú na kontrolu integrity súborov. Uchováva tiež protokoly a zápisy o udalostiach a výsledkoch auditu systémov.
Podporu projektu OSSEC v súčasnosti zabezpečuje spoločnosť Atomicorp. Spoločnosť spravuje bezplatnú open-source verziu a navyše ponúka komerčnú verziu produktu. podcast, v ktorom manažér projektu OSSEC hovorí o novej verzii systému — OSSEC 3.0. Rovnako sa tu hovorí o histórii projektu a o tom, čím sa líši od súčasných komerčných systémov používaných v oblasti počítačovej bezpečnosti.
5. Suricata
— je open-source projekt zameraný na riešenie základných úloh zabezpečenia počítačov. Špecificky zahŕňa systém detekcie narušení, systém prevencie narušení a nástroj na monitorovanie sieťovej bezpečnosti.
Tento produkt vznikol v roku 2009. Jeho činnosť je založená na pravidlách. To znamená, že tí, ktorí ho používajú, majú možnosť popísať určité charakteristiky sieťového prenosu. Ak pravidlo zafunguje, Suricata vygeneruje oznámenie, zablokuje alebo prerušuje podozrivé pripojenie, čo opäť závisí od zadaných pravidiel. Projekt navyše podporuje prácu v viacvláknovom režime. To umožňuje rýchle spracovanie veľkého počtu pravidiel v sieťach, ktorými prechádzajú veľké objemy prenosu. Vďaka podpore viacvláknovosti môže bežný server úspešne analyzovať prenosy dosahujúce rýchlosť 10 Gbit/s. Pri tom administrátor nemusí obmedzovať súbor pravidiel používaných na analýzu prenášaného dát. Suricata tiež podporuje hashovanie a extrakciu súborov.
Suricata sa dá nastaviť na prácu na bežných serveroch alebo na virtuálnych strojoch, napríklad v AWS, s využitím nedávno zavedených funkcií produktu. .
Projekt podporuje Lua skripty, pomocou ktorých je možné vytvárať zložitú a detailnú logiku analýzy signatúr hrozieb.
Projekt Suricata spravuje Open Information Security Foundation (OISF).
6. Zeek (Bro)
Rovnako ako Suricata, (tento projekt sa predtým nazýval Bro a bol premenovaný na Zeek na podujatí BroCon 2018) — je to tiež systém na detekciu narušení a nástroj na monitorovanie sieťovej bezpečnosti, ktorý dokáže odhaľovať anomálie, ako sú podozrivé alebo nebezpečné činnosti. Zeek sa od tradičných IDS líši tým, že na rozdiel od systémov založených na pravidlách, ktoré identifikujú výnimky, tiež zachytáva metadáta súvisiace so všeobecným dianím v sieti. Robí sa to s cieľom lepšie pochopiť kontext neobvyklého sieťového správania. To umožňuje napríklad pri analýze HTTP volania alebo procedúry výmeny bezpečnostných certifikátov nahliadnuť do protokolu, hlavičiek paketov a doménových mien.
Ak vezmeme Zeek ako nástroj na sieťovú bezpečnosť, možno povedať, že umožňuje odborníkovi vykonať vyšetrenie incidentu, pričom sa dozvie, čo sa stalo pred alebo počas incidentu. Okrem toho Zeek konvertuje údaje o sieťovom trafficu na vysokú úroveň udalostí a umožňuje pracovať s interpretátorom skriptov. Interpretátor podporuje programovací jazyk, ktorý sa používa na organizovanie interakcie s udalosťami a na zistenie, čo presne tieto udalosti znamenajú z pohľadu sieťovej bezpečnosti. Programovací jazyk Zeek môže byť použitý na prispôsobenie interpretácie metadát tak, ako to vyžaduje konkrétna organizácia. Umožňuje vytvárať zložené logické podmienky s použitím operátorov AND, OR a NOT. To dáva používateľom možnosť prispôsobiť proces analýzy ich prostredia. Pravda, je potrebné poznamenať, že v porovnaní s Suricatou môže byť Zeek považovaný za pomerne zložitý nástroj pri vykonávaní prieskumov bezpečnostných hrozieb.
Ak máte záujem o podrobnosti o Zeek — obráťte sa na videu.
7. Panther
— je mocná platforma pôvodne navrhnutá na prácu v cloude na zabezpečenie nepretržitého monitorovania bezpečnosti. Nedávno prešla na voľne prístupný softvér. Za projektom stojí hlavný architekt — riešenie na automatizovanú analýzu protokolov, ktorú otvorila spoločnosť Airbnb. Panther poskytuje používateľovi jednotný systém na centralizované zisťovanie hrozieb vo všetkých prostrediach a na organizáciu reakcie na ne. Tento systém sa dokáže prispôsobiť s rastúcou veľkosťou spravovanej infraštruktúry. Zisťovanie hrozieb je organizované pomocou transparentných deterministických pravidiel, čo je urobené na zníženie percenta falošne pozitívnych reakcií a zníženie nadmerného zaťaženia bezpečnostných odborníkov.
Medzi hlavné možnosti Pantheru patrí:
- Zisťovanie neoprávneného prístupu k prostriedkom analýzou protokolov.
- Vyhľadávanie hrozieb realizované prostredníctvom vyhľadávania v protokoloch ukazovateľov, ktoré signalizujú problémy so zabezpečením. Vyhľadávanie sa vykonáva s použitím štandardizovaných dátových polí Panther.
- Kontrola systému na shodu so štandardmi SOC/PCI/HIPAA pomocou mechanizmov Panther.
- Ochrana cloudových zdrojov pomocou automatického opravovania chýb v konfiguráciách, ktoré môžu, ak sa nimi zneužijú, spôsobiť závažné problémy.
Panther sa implementuje v AWS cloude organizácie pomocou AWS CloudFormation. To umožňuje používateľovi vždy kontrolovať jeho dáta.
Zhrnutie
Monitorovanie bezpečnosti systémov je v dnešnej dobe jednou z najdôležitejších úloh. Riešením tejto úlohy môžu firmám akéhokoľvek rozsahu pomôcť open-source nástroje, ktoré ponúkajú množstvo možností a takmer nič nestojí alebo sú zadarmo.
Vážení čitatelia! Aké nástroje na monitorovanie bezpečnosti používate?
Zdroj: habr.com
